Kiun klientan IP vidas gepatra prokurilo?
Spuru la fontan adreson, kiun vidas supra prokurilo, kaj tenu plusenditajn klientajn metadatenojn en difinita fidlimo.
Meti laborejon en la liston de permesitoj ne nepre permesas, ke nova malsupra prokurilo konektiĝu anstataŭ ĝi:
workstation → local proxy → corporate parent → websiteLa loka prokurilo malfermas novan konekton al la gepatra. Kutime la gepatra vidas la elirantan adreson de tiu prokurilo, eble post NAT. La adreso de la originala laborejo ne fariĝas la fonto de la nova konekto nur ĉar ĝi iniciatis la tutan peton.
Trovu la tujan fonton, kiun la gepatra efektive ricevas. Rajtigu la malsupran prokurilon nur por la celita servo kaj konservu klientajn limigojn sur la malsupra instanco. Alie la permesita peranto povas doni aliron al ĉiu, kiu povas atingi ĝin.
Estas intenca escepto al la simpla interpreto de ingo-partnero. Squid 6 kaj 7 povas sekvi X-Forwarded-For de eksplicite fidataj partneroj kaj uzi la rezultantan nerektan klientan adreson por elektitaj funkcioj. La koncernaj agordoj decidas, ĉu fonta ACL uzas tiun derivitan identecon; src ne ĉiam estas la kruda partnero kiam ĉi tiu funkcio estas ŝaltita.
Fidu plusenditan identecon nur de peranto, kiu purigas kaj liveras ĝin ĝuste. Arbitra X-Forwarded-For provizita de la kliento estas asertita valoro, ne aŭtentigita fonto. Kie politiko permesas, registru kaj la tujan partneron kaj la fidata originalan klienton: la unua identigas, kiu konektiĝis al la gepatra, la dua, al kiu servis la malsupra.